Sicherheitsbilanz von Coinbase

Ein Kühlungsausfall bei AWS stoppte den Handel von Coinbase für acht Stunden

Mehrere Kühleinheiten fielen um 19:20 Uhr ET in einer AWS-Datenhalle in us-east-1 aus, wodurch Racks in der Verfügbarkeitszone use1-az4 abgeschaltet wurden. Nahezu der gesamte Handel von Coinbase kam um 19:48 Uhr ET zum Erliegen. Zwei der eigenen Designentscheidungen von Coinbase verwandelten einen Störfall eines Anbieters in einer einzigen Zone in einen Plattformausfall: Die Matching-Engine der Exchange lief in einer Platzierungsgruppe, die an dieses eine Gebäude gebunden war, ohne automatisches zonenübergreifendes Failover, sodass das Quorum um 21:29 Uhr ET verloren ging, als drei von fünf Nodes ausfielen; und ein Defekt im verwalteten Kafka-Dienst von AWS blockierte die Neuwahl des Partition-Leaders, was den Gebührendienst von Coinbase zum Stillstand brachte und die Quotierung unterbrach. Das Quorum wurde am 8. Mai um 0:06 Uhr ET wiederhergestellt, der Handel nur zur Stornierung kehrte um 2:25 Uhr zurück, alle Orderbücher wurden um 3:49 Uhr wieder geöffnet, die Website und die App waren ab 5:30 Uhr beeinträchtigt und erholten sich um 9:53 Uhr vollständig, und der Rückstand bei der Ereignis-Streaming-Verarbeitung war um 14:00 Uhr bereinigt. Coinbase veröffentlichte am 1. Juni 2026 eine ausführliche Nachbetrachtung, nannte die Dauer inakzeptabel, erklärte, die zuständigen Aufsichtsbehörden innerhalb der vorgeschriebenen Fristen benachrichtigt zu haben, und verpflichtete sich zu einer warmen zonenübergreifenden Standby-Lösung für Matching-Engines sowie zu regelmäßigen Failover-Übungen im Produktivbetrieb.

Coinbase engineering postmortem

Central Bank of Ireland verhängt Geldbuße von 21,5 Millionen Euro gegen Coinbase Europe

Drei Programmierfehler führten dazu, dass fünf der einundzwanzig Szenarien im Transaktionsüberwachungssystem von Coinbase Europe nicht alle Transaktionen prüften. Krypto-Adressen, die durch Sonderzeichen getrennt waren, wurden zum Beispiel übersprungen. Die Zentralbank stellte fest, dass zwischen dem 23. April 2021 und dem 19. März 2025 30.442.437 Transaktionen im Wert von mehr als 176 Milliarden Euro nicht auf Geldwäsche überwacht wurden, rund 31 % des Volumens der Gesellschaft. Coinbase behob die Fehler innerhalb von zwei bis drei Wochen nach ihrer Entdeckung, doch die Aufsichtsbehörde merkte an, dass fast drei Jahre vergingen, bis die betroffenen Transaktionen vollständig erneut durchlaufen wurden. Dieser erneute Durchlauf kennzeichnete etwa 185.000 Transaktionen zur Untersuchung und erzeugte 2.708 Verdachtsmeldungen über insgesamt 13 Millionen Euro. Die Geldbuße von 21.464.734 Euro berücksichtigt einen Vergleichsrabatt von 30 % auf 30.663.906 Euro.

Central Bank of Ireland press release

Coinbase von Luxemburgs CSSF nach MiCA zugelassen

Die Commission de Surveillance du Secteur Financier ließ Coinbase nach der Verordnung über Märkte für Kryptowerte zu, wodurch das Unternehmen mit einer einzigen Lizenz sein gesamtes Produktangebot in allen 27 EU-Mitgliedstaaten per EU-Pass anbieten kann. Damit vereint es die getrennten nationalen Registrierungen, die Coinbase in Deutschland, Frankreich, Irland, Italien, den Niederlanden und Spanien hatte, und macht Luxemburg statt Irland zu seinem europäischen Standort.

Coinbase announcement

Bestochene Support-Auftragnehmer gaben Identitätsdaten von Kunden weiter

Kriminelle bezahlten Support-Auftragnehmer und Mitarbeiter außerhalb der Vereinigten Staaten dafür, Kundendatensätze aus internen Support-Systemen zu kopieren. Am 11. Mai 2025 schrieben sie Coinbase per E-Mail und forderten Geld dafür, die Daten nicht zu veröffentlichen. Coinbase lehnte ab, offenbarte den Vorfall in einem Formular 8-K, entließ die Beteiligten und richtete stattdessen einen Belohnungsfonds von 20 Millionen $ für Hinweise ein, die zu Festnahmen führen. Entwendet wurden Namen, Adressen, Telefonnummern, E-Mail-Adressen, maskierte Bankkontonummern, die letzten vier Ziffern der Sozialversicherungsnummer, Bilder amtlicher Ausweisdokumente sowie Kontostands- und Transaktionsverläufe. Passwörter, private Schlüssel, 2FA-Codes und Kundengelder waren nicht betroffen, und Prime-Konten blieben unberührt. Coinbase schätzte 180 Millionen $ bis 400 Millionen $ für Behebung und freiwillige Erstattungen und erklärte, es werde berechtigten Privatkunden, die als direkte Folge Gelder an die Angreifer gesandt hatten, das Geld zurückzahlen. Die von Coinbase bei den Bundesstaaten eingereichten Meldungen zu Datenpannen, über die SecurityWeek berichtete, beziffern die Zahl der Betroffenen auf 69.461 und datieren den ersten Datendiebstahl auf den 26. Dezember 2024.

Coinbase Global Form 8-K, 14 May 2025

SEC stellt ihr Verfahren gegen Coinbase ein

Die Kommission reichte eine gemeinsame Erklärung zur Einstellung des im Juni 2023 eingeleiteten Durchsetzungsverfahrens gegen Coinbase Inc. und Coinbase Global Inc. ein. Sie erklärte, die Entscheidung beruhe auf ihrer eigenen Initiative, die Kryptopolitik über die am 21. Januar 2025 gebildete Crypto Task Force zu reformieren, und nicht auf einer Bewertung der Begründetheit der Vorwürfe. Es wurde keine Geldbuße verhängt und keine Änderung an Coinbases Geschäft verlangt.

SEC press release 2025-47

Britische FCA verhängt Geldbuße von 3,5 Millionen Pfund gegen die Zahlungssparte von Coinbase

Am 30. Oktober 2020 akzeptierte CB Payments Limited freiwillig eine Auflage, die es ihr untersagte, Kunden aufzunehmen, die die FCA als hochriskant einstufte. Danach nahm sie zwischen Oktober 2020 und dem 1. Oktober 2023 13.416 solcher Kunden auf oder bediente sie. Rund 31 % von ihnen zahlten etwa 24,9 Millionen $ ein, womit über andere Coinbase-Gesellschaften Kryptowerttransaktionen von etwa 226 Millionen $ finanziert wurden. Die Geldbuße von 3.503.546 Pfund berücksichtigt bereits einen Vergleichsrabatt von 30 % und war die erste Durchsetzungsmaßnahme der FCA nach den Electronic Money Regulations 2011.

FCA press release

SEC verklagt Coinbase als nicht registrierte Börse, Makler und Clearingstelle

Die SEC behauptete, Coinbase habe mindestens seit 2019 die Funktionen einer Börse, eines Maklers und einer Clearingstelle vereint, ohne eine davon zu registrieren, und habe sein Programm Staking-as-a-Service als nicht registriertes Wertpapierangebot angeboten. Sie benannte außerdem Coinbase Global Inc. als kontrollierende Person. Coinbase bestritt die Vorwürfe, lehnte einen Vergleich ab und prozessierte. Das Verfahren lief bis Februar 2025 und endete mit einer Verfahrenseinstellung ohne Entscheidung in der Sache.

SEC press release 2023-102

New Yorker Aufsicht verhängt Geldbuße von 50 Millionen $ gegen Coinbase wegen Versäumnissen bei der Geldwäscheprävention

Das New York Department of Financial Services stellte langjährige Versäumnisse bei der Sorgfaltspflicht gegenüber Kunden, der Überwachung von Transaktionen und der Meldung verdächtiger Aktivitäten fest. Ende 2021 hatte Coinbase einen Rückstand von mehr als 100.000 nicht geprüften Warnmeldungen aus der Transaktionsüberwachung, und die Aufsichtsbehörde stellte fest, dass das Unternehmen verdächtige Aktivitäten routinemäßig nicht rechtzeitig untersuchte und meldete, teils mit monatelanger Verspätung. Coinbase zahlte eine Geldbuße von 50 Millionen $ und erklärte sich bereit, über zwei Jahre weitere 50 Millionen $ in die Compliance zu investieren. Ein unabhängiger Aufseher, den die Aufsichtsbehörde Anfang 2022 eingesetzt hatte, blieb ein weiteres Jahr im Amt und konnte nach dem Ermessen der Behörde verlängert werden.

NYDFS press release

Angreifer leerten mindestens 6.000 Konten über eine Schwachstelle bei der SMS-Wiederherstellung

Zwischen März und dem 20. Mai 2021 nutzten Angreifer, die bereits durch Phishing erbeutete E-Mail-Adressen, Passwörter und Telefonnummern besaßen, eine Schwachstelle im SMS-Kontowiederherstellungsprozess von Coinbase aus, um Zwei-Faktor-Codes zu erhalten und Kryptowährungen von der Plattform zu bewegen. Mehr als 6.000 Kunden waren betroffen. Coinbase erklärte, es gebe keine Hinweise darauf, dass die Zugangsdaten von Coinbase selbst stammten, aktualisierte das SMS-Wiederherstellungsprotokoll, um die Umgehung zu schließen, benachrichtigte die betroffenen Kunden in einem im September 2021 beim Attorney General von Kalifornien eingereichten Schreiben und schrieb jedem betroffenen Konto den vollen Wert des Entwendeten gut.

The Record, Recorded Future News

CFTC verhängt gegen Coinbase eine Geldbuße von 6,5 Millionen $ wegen Berichterstattung und Wash Trading

Die CFTC stellte fest, dass zwischen Januar 2015 und September 2018 zwei Handelsprogramme von Coinbase, Hedger und Replicator, in bestimmten Paaren auf der Plattform GDAX Orders miteinander abglichen und so Geschäfte zwischen Konten erzeugten, die Coinbase selbst gehörten. Diese Daten gelangten auf die Website von Coinbase und weiter an Berichtsdienste und vermittelten ein falsches oder irreführendes Bild von Volumen und Liquidität. Die Verfügung stellte außerdem fest, dass ein ehemaliger Mitarbeiter über etwa sechs Wochen zwischen August und September 2016 im Litecoin-Bitcoin-Handelspaar übereinstimmende Kauf- und Verkaufsorders als Wash Trades platzierte, und hielt Coinbase dafür stellvertretend haftbar. Coinbase zahlte zur Beilegung eine zivilrechtliche Geldbuße von 6,5 Millionen $.

CFTC press release 8369-21